El problema del 2,7: por qué las víctimas de ransomware suelen enfrentarse a más de una debilidad

La cifra más infravalorada del informe de Sophos de 2025

Cuando Sophos publicó su informe State of Ransomware 2025 en junio de 2025, las conclusiones principales eran alentadoras. Los datos se cifraron en el 50 % de los ataques, frente al 70 % de 2024. El 53 % de las víctimas se había recuperado por completo en una semana, frente al 35 %. La mediana del pago de rescate se redujo a la mitad, de 2 millones de dólares a 1 millón de dólares. Esas cifras son reales e importan. Pero el informe también exploró algo por primera vez: los factores organizativos que dejaron expuestas a las empresas. Una estadística de esa sección, a nuestro juicio, cambia la forma en que los responsables de riesgo empresarial deberían pensar en el ransomware.

La encuesta abarcó a 3.400 responsables de TI y ciberseguridad de 17 países, todos ellos de organizaciones de 100 a 5.000 empleados que habían sufrido un ataque de ransomware en los 12 meses anteriores. Al preguntarles por qué su organización fue víctima, los encuestados citaron 2,7 factores contribuyentes de media.

No uno. Ni siquiera dos. De media, las víctimas mencionaron cerca de tres condiciones operativas detrás de un único ataque.

No es una nota a pie de página. Es una prueba sólida de que la defensa contra el ransomware basada en un solo control no se corresponde con la forma en que las víctimas describen sus propios incidentes, y de que la arquitectura de backup se ha convertido discretamente en uno de los controles compensatorios más importantes de la pila empresarial.

En BackupSec creemos que la cifra de 2,7 es el dato estratégicamente más útil del informe. Este artículo explica qué mide, por qué hace difícil defender las estrategias basadas solo en la prevención y qué implica para las organizaciones que siguen tratando el backup como algo secundario respecto a la seguridad "de verdad".

Qué representa realmente el 2,7

La pregunta que planteó Sophos fue "Why do you think your organization fell victim to the ransomware attack?" (¿por qué cree que su organización fue víctima del ataque de ransomware?). Los encuestados podían elegir más de uno de siete motivos operativos y, de media, eligieron 2,7. La lista completa, con la proporción de los 3.400 encuestados que mencionó cada uno:

• Falta de experiencia: 40,2 %. No tener las habilidades o los conocimientos para detectar y detener el ataque a tiempo.
• Brecha de seguridad desconocida: 40,1 %. Una debilidad de las defensas de la que la organización no era consciente.
• Falta de personal o de capacidad: 39,4 %. No había suficientes expertos en ciberseguridad supervisando los sistemas en el momento del ataque.
• Falta de protección: 39,0 %. No disponer de los productos y servicios de ciberseguridad necesarios.
• Brecha de seguridad conocida que no se había corregido: 38,2 %.
• Protección de baja calidad que no pudo detener el ataque: 37,1 %.
• Error humano: 34,2 %.

De la forma en que se planteó la pregunta se desprenden dos cosas. El 2,7 es una media, por lo que algunas víctimas mencionaron un factor y otras varios. Y registra lo que los encuestados creen que contribuyó, no el resultado de una investigación forense. Además, los factores se solapan. Sophos los agrupa en problemas de protección (63 % de los encuestados), problemas de recursos (63 %) y brechas de seguridad (65 %), y concluye que hay "no single stand-out source" (ninguna fuente que destaque por sí sola).

Sophos preguntó por separado por el punto de entrada técnico. Las vulnerabilidades explotadas fueron la causa raíz en el 32 % de los ataques, las credenciales comprometidas en el 23 %, el correo electrónico malicioso en el 19 % y el phishing en el 18 %. Esas proporciones describen cómo entró el atacante. El 2,7 describe las condiciones que lo rodearon.

El propio resumen de Sophos es que "victims are typically facing multiple operational challenges" (las víctimas suelen enfrentarse a múltiples desafíos operativos). Lo leemos como un problema estructural, no como una racha de mala suerte.

Si las víctimas suelen mencionar casi tres condiciones contribuyentes, entonces el modelo de defensa con el que todavía operan la mayoría de las empresas, "encontrar la brecha, cerrar la brecha", se enfrenta a un atacante que solo necesita que una de ellas sea explotable. Mientras tanto, el defensor tiene que gestionarlas todas a la vez.

Eso no es un problema de seguridad. Es un problema de asimetría.

La asimetría: una puerta frente a siete

Piense en las cuentas desde la perspectiva del atacante.

Un operador de ransomware actual (un grupo alineado con un Estado, un afiliado de RaaS o un equipo independiente) no necesita identificar y explotar todas las debilidades de su entorno. Necesita una única vía viable: un sistema sin parchear, un conjunto de credenciales comprometidas, un bucket en la nube mal configurado, un usuario susceptible al phishing, una carencia administrativa.

Ahora piense en las cuentas desde la perspectiva del defensor. Usted es responsable de:

1. La gestión de vulnerabilidades en miles de activos, con unos ciclos a los que ningún ritmo de parcheo consigue adelantarse de forma fiable.
2. La gobernanza de identidades de usuarios humanos, cuentas de servicio, identidades federadas y, cada vez más, agentes autónomos.
3. La seguridad del correo electrónico y de la colaboración, un punto de entrada importante y el que presenta más variabilidad humana. En la encuesta de Sophos, el correo electrónico malicioso y el phishing fueron en conjunto la causa raíz del 37 % de los ataques.
4. La protección de endpoints frente a payloads que evolucionan más rápido de lo que puede adaptarse la detección basada en firmas.
5. La segmentación de red, diseñada frente a modelos de amenazas que cambian continuamente.
6. La configuración de la nube y del SaaS en decenas o cientos de servicios, cada uno con su propio modelo de permisos.
7. La infraestructura de backup y recuperación, que debe funcionar en condiciones que el resto de su pila ya no ha conseguido evitar.

El atacante juega en una casilla de este tablero. El defensor juega en las siete, todos los días, con recursos limitados.

Estos siete ámbitos son nuestro planteamiento, no las siete opciones de respuesta de Sophos. La lista de Sophos describe condiciones organizativas como la experiencia, la capacidad y las brechas desconocidas, y esas condiciones atraviesan todos los ámbitos anteriores. Aun así, la cifra de 2,7 respalda la asimetría con datos. Las víctimas describieron sus ataques (la encuesta preguntaba por los 12 meses anteriores, así que muchos ocurrieron en 2024) como el resultado de casi tres condiciones contribuyentes de media. No es una señal de negligencia. Es una señal de que la prevención completa es estructuralmente difícil de conseguir.

Por qué "basta con corregir la causa raíz" es un mal cálculo

Una respuesta habitual al análisis de incidentes es identificar la "causa raíz" y corregirla. La mayoría de las revisiones posteriores a los incidentes refuerzan esta forma de pensar. Los datos de Sophos de 2025 muestran por qué este planteamiento, aunque resulte intuitivamente satisfactorio, no recoge cómo describen las propias víctimas lo que salió mal.

Si las víctimas mencionan de media 2,7 factores contribuyentes, es probable que una revisión que se detiene en una única causa raíz esté incompleta. Le dice por qué puerta entró el atacante. No le dice por qué el edificio tenía tantas puertas sin cerrar que siempre iba a haber alguna disponible.

Esto importa en la operación. Los recursos dedicados al vector de entrada concreto del incidente del año pasado son recursos que no se dedican a las carencias de arquitectura que determinarán el del año que viene. Nuestra lectura de los datos de Sophos es que las organizaciones que trabajan con la lógica de una única causa raíz probablemente invierten poco en los controles por capas que determinan si cualquier vector de entrada desemboca en un resultado catastrófico.

El replanteamiento estratégico es este: en cualquier entorno empresarial lo bastante complejo, los atacantes acabarán encontrando una vía viable. La pregunta que determina si esa vía termina en un rescate pagado no es "¿cerramos todas las puertas?", sino "¿sobrevive nuestra arquitectura cuando se abre una de ellas?".

El control compensatorio que la mayoría de las empresas subestima

Esta es la idea de arquitectura a la que apunta la cifra de 2,7: cuando la prevención falla con cierta regularidad, las capas que determinan los resultados de negocio se desplazan aguas abajo.

Aquí es donde la arquitectura de backup pasa de ser "higiene de infraestructura" a ser un "control estratégico principal".

En un modelo de amenazas de un solo vector, el backup es un recurso de reserva. En un modelo de amenazas de múltiples factores, el backup es el control compensatorio para los fallos de prevención que se van a producir. El primer informe State of Ransomware in Enterprise 2025 de Sophos, basado en los 1.733 encuestados de organizaciones de 1.000 a 5.000 empleados, muestra lo que está en juego:

• El 48 % de las grandes empresas víctimas cuyos datos fueron cifrados pagó el rescate para recuperarlos, frente al 55 % de 2024.
• El uso de copias de seguridad por parte de las grandes empresas para restaurar los datos cifrados cayó al 53 %, el nivel más bajo en cuatro años, frente al 73 % de 2024.
• Las organizaciones de 1.000–5.000 empleados gastaron de media 1,83 millones de dólares en recuperarse, sin incluir ningún rescate pagado, según el informe principal de 2025.

Sophos interpreta conjuntamente las cifras de pago y de backup como un indicio que apunta "to stronger resistance to demands together with weaknesses and lack of backup resilience" (a una mayor resistencia a las demandas, junto con debilidades y falta de resiliencia de las copias de seguridad). También señala que el 30 % de las grandes empresas con datos cifrados utilizó otros medios para restaurarlos, por lo que la caída del uso de copias de seguridad no es solo una historia de copias que fallan. Aun así, el cuadro es coherente. Menos ataques llegan al cifrado, pero cuando lo hacen, las copias de seguridad sostuvieron la recuperación solo en aproximadamente la mitad de los casos de grandes empresas. La distancia entre la madurez de la prevención y la madurez de la recuperación es exactamente donde viven los pagos de rescates.

Para los responsables de riesgo empresarial, esto implica una reasignación concreta de la atención de arquitectura. Las inversiones en detección, identidad y parcheo siguen siendo esenciales. Pero ninguna de ellas elimina el 2,7. Solo cambian qué tres puertas están abiertas en un día determinado. El control que determina si una puerta abierta se convierte en un incidente que amenaza la existencia de la empresa es el que la mayoría de las organizaciones menos ha modernizado: la arquitectura que conserva copias limpias, inmutables y validadas de los datos críticos para el negocio y que puede restaurarlas en condiciones de ataque.

Qué aspecto puede tener el 2,7 en un incidente

Sophos no desglosa el 2,7 en una secuencia, así que lo que sigue es nuestra ilustración de cómo pueden combinarse los factores contribuyentes en un entorno empresarial, no datos de la encuesta:

El primer factor suele ser un vector de entrada: un dispositivo perimetral sin parchear, una credencial comprometida reutilizada en varios sistemas o un correo de phishing que tuvo éxito. Es el fallo que el informe posterior al incidente llamará "causa raíz".

El segundo factor suele ser un fallo de privilegios o de visibilidad que permitió ampliar el punto de apoyo inicial: permisos permanentes excesivos, carencias en la detección del movimiento lateral o una segmentación insuficiente entre unidades de negocio.

El tercer factor es en el que nos centramos: un fallo en la capa de recuperación que convierte una brecha contenida en un rescate pagado. Credenciales de backup accesibles desde producción, políticas de retención que pueden modificar administradores comprometidos o procedimientos de restauración que nunca se han probado frente al escenario al que ahora se enfrenta el equipo. Sophos aporta aquí un dato limitado: en el informe principal de 2025, de las 151 organizaciones que pagaron más que la demanda de rescate inicial, el 38 % dijo que sus copias de seguridad fallaron o no funcionaban correctamente.

Los dos primeros factores acaparan la atención en la respuesta a incidentes. El tercero suele decidir el resultado económico, y es difícil evaluarlo con honestidad hasta que un incidente obliga a plantear la pregunta.

Esta es la realidad operativa a la que apunta la cifra de 2,7. Los factores no son abstractos: juntos forman la secuencia de fallos que convierte un evento de seguridad manejable en una crisis que llega al consejo de administración.

Qué significa esto para la asignación del riesgo

Si acepta el hallazgo del 2,7 como significativo desde el punto de vista de la arquitectura (y una encuesta a 3.400 organizaciones víctimas hace difícil descartarlo), se desprenden varias conclusiones sobre la asignación de recursos.

Diversifique la inversión a lo largo de la cadena de fallos, no dentro de una sola capa. Reforzar la seguridad del correo electrónico sin cambiar la arquitectura de recuperación cambia qué factor falla primero; no reduce el número total de fallos. Los presupuestos de seguridad empresarial que asignan una parte desproporcionada a la prevención mientras tratan el backup como una partida más operan frente a un modelo de amenazas que no refleja cómo describen las víctimas sus incidentes.

Evalúe las arquitecturas frente a escenarios de múltiples factores, no con pruebas de un solo vector. Una prueba que confirma que una defensa resiste no demuestra que su entorno sobreviva a un ataque real. En la encuesta de Sophos, las víctimas mencionaron de media casi tres factores contribuyentes. Los ejercicios de mesa y los ejercicios de red team deberían diseñarse para probar explícitamente esa condición combinada.

Mida la confianza en la recuperación, no la finalización de los backups. Sophos no explica por qué el uso de copias de seguridad en las grandes empresas cayó al 53 %, y parte de la caída refleja otros métodos de recuperación. Nuestra lectura es que muchas arquitecturas de backup se diseñaron para fallos de un solo factor (se estropeó un servidor, un usuario eliminó un archivo) y ahora se les pide que funcionen en condiciones de múltiples factores (el atacante lleva dos semanas en la red y lo ha tocado todo). Son problemas diferentes. La propia recomendación de Sophos es "make quality backups and regularly practice restoring data from them" (hacer copias de seguridad de calidad y practicar con regularidad la restauración de datos a partir de ellas).

Trate la capa de recuperación como el control compensatorio en que se ha convertido. Cuando la prevención va a fallar algunas veces, la capa que determina los resultados es la que conserva copias de los datos limpias, aisladas e inmutables y puede restaurarlas con rapidez en condiciones hostiles. Esa capa debe diseñarse, gobernarse y probarse con el mismo rigor que el entorno de producción que protege.

El papel de BackupSec

En BackupSec, nuestro enfoque se basa en una premisa: la prevención acabará fallando en algún punto, y cuando lo haga, la capa de recuperación decidirá si el fallo tiene arreglo o amenaza la existencia de la empresa.

Tres de nuestros servicios se corresponden con las preguntas que plantea la cifra de 2,7:

• ZeroMON responde a "¿Qué está haciendo realmente ahora mismo nuestro entorno de backup?". Monitoriza Veeam Backup & Replication: estado de los trabajos, cambios de configuración con quién, qué y cuándo (Forensic & Audit), una lista de comprobación del Security Analyzer, informes y un honeypot en el appliance de monitoreo. Muestra el estado de inmutabilidad tal como lo indica la propia configuración de repositorios de Veeam; lee la configuración de Veeam y no verifica los bloqueos a nivel de objeto en el almacenamiento. Las alertas se envían por correo electrónico y como notificación dentro de la aplicación. ZeroMON se despliega on-premises como OVA, se conecta con una cuenta de solo lectura y no envía nada a BackupSec ni a terceros.
• ZeroTAM responde a "¿Tenemos la experiencia necesaria para interpretar lo que vemos?". Esa es la pregunta que hay detrás del factor más frecuente de la lista de Sophos. Un asesor dedicado de seguridad de backup se ocupa de la arquitectura, la planificación de la recuperación ante ransomware y la capacidad, con soporte prioritario durante una crisis. Es asesoramiento, no software.
• ZeroPEN responde a "¿Hasta dónde llegaría un atacante contra nuestras copias de seguridad?". Es una prueba de penetración guiada por amenazas de Veeam Backup & Replication, Veeam ONE y Enterprise Manager que simula una kill chain de ransomware en ocho fases alineadas con MITRE ATT&CK, desde el acceso inicial y la neutralización de las copias de seguridad hasta la prueba de capacidad de cifrado. No es destructivo: "never deletes real backups, performs real encryption, or stops production or backup services" (nunca elimina copias de seguridad reales, no realiza cifrado real ni detiene servicios de producción o de backup). Los hallazgos se entregan con evidencias listas para auditoría, y los hallazgos críticos se vuelven a probar.

No sustituimos su plataforma de backup. Ayudamos a que la capa de recuperación que esta sostiene sea observable, se entienda y se pruebe frente a las condiciones de múltiples factores que describen los datos de Sophos.

Si su organización lee el informe de Sophos de 2025 y concluye que la respuesta es cerrar todas las puertas, los datos le dicen otra cosa: no todas las puertas van a permanecer cerradas, y la arquitectura que determina qué ocurre cuando se abre una de ellas es la conversación que merece la pena tener en 2026.

Hable con BackupSec →

Este análisis se basa en los informes State of Ransomware 2025 y State of Ransomware in Enterprise 2025 de Sophos. La interpretación y el marco son de BackupSec. Para hablar de cómo se aplica este análisis a su entorno, póngase en contacto con nuestro equipo →